✨︎ Resumen (TL;DR):
- LiteLLM retiró la versión 1.107.0 después de que un atacante manipulara su proceso de publicación y distribuyera malware por PyPI y Docker el 21 de octubre de 2026.
- El código podía ejecutarse al iniciar Python y buscar contraseñas, claves privadas y credenciales de servicios cloud y herramientas de IA.
- Wiz detectó comprobaciones de credenciales de AWS robadas cuatro horas y media después; LiteLLM pide reconstruir entornos y renovar claves.
LiteLLM confirmó el incidente y retiró la versión 1.107.0 después de que un atacante alterara su proceso de publicación y distribuyera malware mediante PyPI y contenedores Docker el 21 de octubre de 2026. El proyecto pidió tratar los entornos expuestos como comprometidos; Wiz detectó después que el atacante comenzó a comprobar credenciales de AWS robadas.
LiteLLM es una herramienta que conecta aplicaciones con distintos proveedores de modelos de inteligencia artificial. Según StepSecurity, el código malicioso podía ejecutarse al iniciar Python en el entorno afectado, incluso si la aplicación no importaba LiteLLM.
El malware buscaba secretos desde el arranque de Python
StepSecurity identificó un recolector de secretos y una puerta trasera entre los archivos añadidos al paquete. El recolector buscaba contraseñas guardadas por navegadores, claves privadas y credenciales de servicios cloud y herramientas de IA. También buscaba claves de proveedores almacenadas por el proxy de LiteLLM.
La puerta trasera consultaba cada hora una ubicación en GitHub. Si encontraba una dirección válida, descargaba y ejecutaba código adicional.
Wiz precisó que ese cargador funcionaba en Linux y macOS. Unos fallos impedían que se ejecutara en Windows, aunque el paquete para Windows también contenía el código malicioso. Durante su análisis, Wiz no observó activa la entrega de esa segunda etapa.
El atacante comprobó credenciales de AWS robadas
Wiz detectó que el atacante comenzó a comprobar las credenciales de AWS robadas aproximadamente cuatro horas y media después de extraerlas. Esas credenciales procedían de sistemas de integración continua y nodos de Kubernetes.
En algunos entornos aparecieron consultas sobre identidades y permisos. La actividad muestra que el robo de claves podía tener consecuencias fuera del proceso de Python, aunque la entrega del código adicional no estuviera activa durante el análisis de Wiz.
La revisión incluye siete wheels y etiquetas de Docker
El informe oficial identifica siete paquetes compilados, conocidos como wheels, de la versión 1.107.0. También señala contenedores publicados en Docker Hub y GitHub Container Registry.
Además de 1.107.0, las etiquetas latest, main-latest y main-stable apuntaron a imágenes comprometidas durante el incidente.
Revisar únicamente si una configuración menciona 1.107.0 puede dejar fuera despliegues que descargaron alguna de esas etiquetas. La revisión debe identificar qué imagen se obtuvo durante el incidente.
LiteLLM recomienda reconstruir los entornos
LiteLLM recomienda retirar los archivos maliciosos y detener el proceso que permanece en segundo plano antes de reinstalar. Sus indicaciones también incluyen:
- Reconstruir desde cero los entornos y contenedores afectados.
- Fijar la versión 1.106.2.
- Renovar las credenciales accesibles desde los sistemas afectados.
El proyecto advirtió que iniciar Python para ejecutar el instalador también puede reactivar el malware.
La investigación sigue el rastro de tres ingenieros
En sus actualizaciones oficiales en GitHub, el equipo de LiteLLM informó que el atacante usó credenciales de tres ingenieros para manipular el flujo de publicación. La hipótesis del proyecto es que los tokens se obtuvieron de registros de una instalación interna expuesta a internet. LiteLLM todavía investiga cómo ocurrió ese acceso.
Retirar los paquetes limita nuevas descargas, pero no invalida las claves que pudieron salir de los sistemas afectados. El proyecto mantiene bloqueados sus registros para nuevas publicaciones y pausadas sus versiones habituales mientras continúa la investigación.
